In breve
Una cyberassicurazione può essere utile quando un guasto informatico, un incidente relativo ai dati o una pretesa di responsabilità civile digitale potrebbe superare le riserve finanziarie e organizzative dell’impresa. Lo è meno quando un’impresa cerca soprattutto un’assicurazione per sostituire il lavoro di sicurezza di base. Una polizza non impedisce alcun attacco e copre solo gli eventi e i costi definiti nel contratto.
La decisione non dovrebbe quindi partire da una probabilità di danno generica, ma da quattro domande:
- Che cosa deve essere disponibile subito dopo un incidente? Ne fanno parte analisi forense, consulenza legale, comunicazione di crisi e ripristino.
- Quale interruzione può sostenere l’impresa da sola? Contano la liquidità, il tempo di fermo tollerabile e le risorse specialistiche interne.
- Quali rischi sono già assicurati? Le polizze di responsabilità civile, cose, infedeltà o elettronica possono includere o escludere singoli ambiti.
- Che cosa fornirebbe concretamente la cyberpolizza? Sono decisivi testo, eventi scatenanti, limiti, sottolimiti, franchigia, periodo di attesa ed esclusioni.
Indicazioni dai dati svizzeri
Lo studio svizzero 2024 sulla cibersicurezza delle PMI ha intervistato 515 imprese. Il 25% disponeva di un concetto di sicurezza, il 32% svolgeva formazioni regolari e il 33% aveva un piano d’emergenza. Secondo l’Associazione Svizzera d’Assicurazioni, nel 2025 circa 72’000 imprese erano assicurate contro i rischi cyber, pari a circa l’11,5% delle imprese domiciliate in Svizzera; i premi nella clientela aziendale ammontavano a CHF 153 milioni (ASA, 3 settembre 2026). Nello studio VZ/HSLU «Cyberrisiken für KMU» (ottobre 2026) solo il 42% delle 515 piccole imprese intervistate riteneva sufficiente la propria protezione.
Questi valori descrivono un campione e un mercato. Non dimostrano che ogni PMI abbia bisogno di una polizza, né forniscono una probabilità di accadimento per una singola azienda.
Quando una polizza merita particolare attenzione
- i processi aziendali centrali si fermano senza IT, cloud o un singolo fornitore di servizi;
- l’impresa tratta dati personali, sanitari, finanziari o coperti dal segreto professionale sensibili;
- un incidente potrebbe generare pretese da parte di clienti o altri terzi;
- mancano risorse interne forensi, legali o di gestione delle crisi;
- un ripristino prolungato graverebbe in modo considerevole sulla liquidità;
- clienti o norme di vigilanza richiedono determinate protezioni o capacità di reazione.
Si tratta di indicatori di verifica, non di una raccomandazione d’acquisto automatica.
Quando occorre prima fare altro
Prima di confrontare assicurazioni, le imprese dovrebbero affrontare le vulnerabilità note e rilevanti. Tra queste rientrano in particolare la mancanza di autenticazione a più fattori per gli accessi critici, backup non testati, diritti di amministratore poco chiari e un piano d’emergenza mai esercitato. Simili lacune non aumentano soltanto il rischio; possono anche influire sull’accettazione, sulle condizioni o sulla prestazione in caso di sinistro.
Distinguere correttamente prevenzione propria e assicurazione
La prevenzione propria riduce la probabilità e l’impatto di un incidente. L’assicurazione trasferisce una parte contrattualmente limitata delle conseguenze finanziarie e, a seconda del prodotto, organizza assistenza esterna. Una soluzione sensata combina entrambe:
| Prevenzione propria | Possibile prestazione assicurativa, se convenuta |
|---|---|
| MFA, aggiornamenti e diritti limitati | coordinamento di una risposta esterna agli incidenti |
| backup separati e testati | costi di ripristino assicurati |
| piano d’emergenza ed esercitazioni | consulenza di crisi e comunicazione |
| autorizzazioni di pagamento sicure | protezione in caso di frode informatica solo se espressamente inclusa |
| controlli dei fornitori | copertura dei fornitori di servizi esterni solo secondo la definizione contrattuale |
Come prendere una decisione solida
- Quantificate l’interruzione tollerabile e i mezzi propri disponibili.
- Verificate sovrapposizioni e lacune nelle polizze esistenti.
- Definite le prestazioni desiderate prima di richiedere un’offerta.
- Fornite a tutti gli assicuratori interpellati le stesse informazioni sul rischio.
- Non confrontate solo i premi, ma anche definizioni, sottolimiti, franchigia, periodi di attesa e obblighi di sicurezza.
- Documentate quali rischi residui sostenete consapevolmente in proprio.
Un’offerta individuale è significativa solo quando queste basi sono chiarite.